Payment Agent от IBM принимал неаутентифицированные записи в ранбуки — CVE-2026-18875

IBM раскрыла уязвимость в сервере ИИ-агента своей платёжной платформы IBM Financial Transaction Manager: вызывающая сторона без учётных данных могла записать выбранный ею runbook в векторную базу данных, из которой агент извлекает информацию, после чего вызовами инструментов Model Context Protocol самого агента можно было управлять на основе прочитанного. Бюллетень безопасности IBM, опубликованный 21 сентября 2026 года, сообщает, что уязвимость могла привести к «несанкционированным платёжным действиям или эксфильтрации платёжных данных». CVE, CVE-2026-18875, была опубликована 23 сентября 2026 года с базовой оценкой CVSS 3.1 7.3, сопоставлена с CWE-74 и расположена в api.vectordb.runbooks.js:51. Случаев эксплуатации в реальных условиях не зафиксировано, и с ней не связывают никаких потерь клиентов, платежей или данных. Этот отчёт основан на единственной записи в Orca AI Incident Archive, где CVE-2026-18875 указана как уязвимость средней степени серьёзности без зафиксированного ущерба и размещена рядом с другими задокументированными инцидентами с агентами.

Одна CVE в бюллетене из сорока семи CVE

Уведомление IBM об этой уязвимости не является отдельным извещением. Это одна запись в Бюллетень по безопасности: IBM Financial Transaction Manager (FTM) подвержен множеству уязвимостей, документ UID ibm17288641, таблицы затронутых продуктов и мер устранения которого охватывают все CVE из пакета. На странице указаны 47 различных идентификаторов CVE с оценками IBM от 3.7 до 9.9, а история изменений содержит ровно одну строку: «21 сентября 2026 г.: первоначальная публикация». Бюллетень не пересматривался после появления, а его раздел благодарностей пуст — IBM не выражает благодарность ни одному исследователю, автору сообщения или клиенту за какое-либо из 47 обнаружений.

Запись про RAG — исключение в этом списке. Большинство соседних описаний CVE выглядят как обычная гигиена промежуточного ПО: жестко закодированные криптографические ключи, обход каталогов, обработка внешних XML-сущностей, небезопасная десериализация, отсутствующая проверка авторизации, которая, по словам IBM, «может позволить удаленному злоумышленнику выполнять несанкционированные платежные действия». CVE-2026-18875 — единственная, где описывается дефект в том, как ИИ-агент продукта получает материал, на основе которого строит рассуждения. Описание IBM, полностью приведенное в бюллетене:

IBM Financial Transaction Manager (FTM) 4.x уязвим к отравлению RAG через неаутентифицированный upsert runbook-ов (CWE-74) на сервере ИИ-агента FTM (api.vectordb.runbooks.js:51). Неаутентифицированный злоумышленник может вставить вредоносное содержимое runbook в векторную базу данных агента, чтобы управлять вызовами инструментов MCP, инициируемыми ИИ, потенциально провоцируя несанкционированные платежные действия или эксфильтрацию платежных данных.

Даты стоит различать, поскольку в записи и бюллетене используются разные. В бюллетене IBM указана первоначальная дата публикации — 21 сентября 2026 г. Идентификатор CVE был зарезервирован 4 августа 2026 г., а сама запись CVE опубликована 23 сентября 2026 г. в 15:47 UTC; запись NVD появилась в 16:16 UTC того же дня. Архив относит инцидент к 23 сентября 2026 г. — дню, когда CVE стала публичной, — с точностью до дня.

Механизм: запись в хранилище, которому доверяет агент

Система генерации с дополнением через поиск (retrieval-augmented generation) работает так: извлекает фрагменты из хранилища и подаёт их модели в качестве контекста. В уведомлении IBM функция «{{1}}вставки/обновления runbook{{/1}}» помещена в этот слой — это операция, которая записывает запись runbook в векторную базу данных агента, — и говорится, что операция приняла запись без аутентификации. Путь в уведомлении, {{2}}api.vectordb.runbooks.js:51{{/2}}, указывает на службу JavaScript, и это всё, что IBM раскрывает об архитектуре.

Это делает ситуацию иной, чем при косвенной инъекции промптов, на которой держится большинство инцидентов с агентами. В обычном случае злоумышленнику нужно подсунуть контент агенту, который просматривает веб-страницы или читает файлы: отравить страницу, которую агент загрузит, документ, который он откроет, письмо, которое он суммирует. Здесь ничего не нужно загружать извне. Злоумышленник записывает отравленное знание напрямую в хранилище, которому агент уже доверяет, и хранилище возвращает его как проверенное операционное руководство во время платёжного рабочего процесса. Redbot Security, фирма по анализу угроз, которая описала уязвимость как RBT-TI-0099 и квалифицирует её как косвенную инъекцию промптов с zero-click-эксфильтрацией данных, формулирует различие одной строкой: "Возвращённый контент может стать операционным влиянием." Архив помечает запись тегами IPI и INFRA по той же причине — путь инъекции находится в слое инструкций агента, а уязвимость относится к инфраструктуре.

То, о чем IBM умалчивает, важно не меньше того, что она говорит. В уведомлении не названы инструменты MCP, которые может вызывать агент, не сказано, к каким платежным операциям они дают доступ, не указано, доступен ли маршрут upsert в развертывании FTM по умолчанию или только в определенных конфигурациях, и не описана модель аутентификации, которая должна была его защищать. Там сказано «потенциально» — и на этом все.

Чтение 7.3

Вектор CVSS 3.1 — AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L. В расшифрованном виде: доступность по сети, низкая сложность атаки, привилегии не требуются, взаимодействие с пользователем не требуется — именно это делает уязвимость серьёзной — а затем низкое влияние на конфиденциальность, низкое влияние на целостность и низкое влияние на доступность, область действия не изменена. По собственным оценкам IBM, эксплуатируемость составляет 3.9, а влияние — 3.4. Все измерения влияния, которые оценивала IBM, имеют уровень Low. Оценка 7.3 почти полностью обусловлена тем, насколько легко достичь уязвимости, а не тем, какой ущерб, по мнению IBM, она наносит.

IBM — единственная сторона, которая выставила ему оценку. NVD помечает CVE-2026-18875 как «Analyzed» по состоянию на 7 октября 2026 года, но единственная метрика CVSS в его записи — это метрика IBM с пометкой Secondary; NVD не предоставил собственной первичной оценки. GitHub Advisory Database содержит то же описание и тот же показатель 7.3; запись опубликована 23 сентября 2026 года в 18:31 UTC.

Ближайший к оценке материал, который IBM не писала, взят из блока ADP Vulnrichment от CISA в записи CVE — решение SSVC 2.0.3, зафиксированное 23 сентября 2026 года в 18:48 UTC: Эксплуатация: нет. Автоматизируемость: да. Техническое воздействие: частичное. Этот вердикт сообщает о двух вещах сразу, и обе должны звучать в одном предложении: координатор CISA на момент публикации не видел эксплуатации и считал уязвимость автоматизируемой — из тех, которые может проработать сканер или скрипт, а не разовая ручная атака.

Система оценки прогнозирования эксплойтов FIRST присвоила CVE-2026-18875 значение 0,00369, или примерно 0,37%, что соответствует 30-му процентилю, в прогоне модели от 25 октября 2026 года. EPSS оценивает вероятность наблюдаемой эксплуатации в течение следующих 30 дней; результат на уровне 30-го процентиля — это скромное число, и это прогноз, а не отчёт о чём-либо произошедшем.

Что установлено, а что — нет

Установлено. Уязвимость существует и задокументирована в первичных источниках, которые согласуются между собой: бюллетень IBM от 21 сентября 2026 года, запись CVE, опубликованная 23 сентября 2026 года, проанализированная запись NVD и рекомендация GitHub. Диапазон затронутых версий, версия с исправлением, оценка и вектор CVSS, сопоставление с CWE и местоположение кода в них идентичны. Путь записи был доступен без учётных данных — это указано в самом описании IBM, а не выведено из оценки. Координатор CISA не зафиксировал фактов эксплуатации. Архив присваивает записи уровень достоверности A, она не оспаривается, а реальный ущерб отмечен как false.

• Уязвимость. Неаутентифицированный upsert рунбука в сервере ИИ-агента FTM, в api.vectordb.runbooks.js:51, позволяющий злоумышленнику вставлять содержимое в векторную базу данных, из которой агент извлекает данные. Формулировка IBM, а не реконструкция.

• Последствие, о котором заявляет IBM. Что отравленный контент может направить вызовы инструментов MCP к несанкционированным платёжным действиям или к эксфильтрации платёжных данных. IBM указывает это как потенциальный исход; она не утверждает, что продемонстрировала это в среде заказчика.

• Исправление. FTM 4.0.11.0, со ссылкой на узел поддержки IBM 7285661. В поле бюллетеня «Обходные пути и меры по смягчению» указано «Нет».

• Сведения об эксплуатации. Нет. В записи SSVC CISA от 23 сентября 2026 г. указано «Эксплуатация: нет»; показатель EPSS 0,37% по состоянию на 25 октября 2026 г. является прогнозом, а не наблюдением; ни жертва, ни транзакция, ни убыток не упоминаются ни в одном из рассмотренных источников.

Не установлено. Кто обнаружил уязвимость и как — в бюллетене никто не указан, и нет публичного описания от названного исследователя. Открыт ли уязвимый маршрут при развёртывании по умолчанию или только при определённой конфигурации. Что на самом деле меняет 4.0.11.0: требует ли теперь маршрут upsert аутентификации, был ли он удалён или сужен каким-то иным образом. Открывало ли когда-либо какое-либо развёртывание FTM конечную точку для недоверенной сети и как долго — между резервированием 4 августа и публикацией 23 сентября. И предпринимались ли когда-либо где-либо попытки выполнить платёжные действия, о которых предупреждает IBM.

Диапазоны версий во вторичных трекерах совпадают не полностью. Некоторые указывают затронутый диапазон как «4.0.6.0 и более ранние версии», что не соответствует тому, что опубликовала IBM; другие приводят 4.0.7.0 до 4.0.11.0 не включительно, что совпадает с машиночитаемой конфигурацией NVD, но опускает строку промежуточного исправления 4.0.6.0. Бюллетень IBM является здесь авторитетным источником и перечисляет шесть строк версий, воспроизведённых в карточке выше.

Ещё один момент, который не установлен, потому что никто не пытался его установить: ни одна крупная новостная организация или независимая исследовательская лаборатория, судя по всему, не опубликовала собственного анализа CVE-2026-18875. Единственная оценка, зафиксированная в открытых источниках и написанная не IBM, — это блок SSVC из трёх полей от CISA. По состоянию на 26 октября 2026 года освещение ограничивается бюллетенем IBM, записью CVE, NVD, рекомендацией GitHub и набором трекеров уязвимостей, которые воспроизводят текст IBM. Несколько результатов поиска по этой CVE представляют собой блог-посты неясного происхождения, которые читаются как машинно-сгенерированные, причём некоторые из них размещены на сайтах, публикующих также виджеты с курсами криптовалют; ни один из них здесь не использовался в качестве источника. Второго, независимого описания этой уязвимости не существует.

Исправление — и пробел после него

Исправление от IBM — это обновление версии и ничего больше: обновите развертывания FTM for Red Hat OpenShift до 4.0.11.0; первое исправление — в support node 7285661, при этом промежуточный обходной путь не предлагается. Последний пункт практически важен. Когда производитель публикует «None» в разделе обходных путей, у оператора, который не может перейти на 4.0.11.0 по графику платежей, остаются только меры, которые производитель не описал, — ограничение круга лиц, имеющих доступ к интерфейсам runbook сервера агента, что рекомендует Redbot Security и чего не делает IBM.

Масштаб последствий определяется тем, что такое FTM. IBM описывает его как «единый платежный хаб, который безопасно обрабатывает, отслеживает и управляет всеми типами платежей, включая пакетные и модели в реальном времени», с поддержкой ISO 20022 для обработки и маршрутизации транзакций, а также сопутствующим продуктом SWIFT для сертифицированного подключения к SWIFT. На странице продукта IBM также представлен FTM AI Assistant — «агентный разговорный интерфейс на основе генеративного ИИ», охватывающий платежи, согласования, производительность системы и документацию. В рекомендательном документе местом расположения уязвимости назван «FTM AI agent server», и ничего не говорится о том, как этот сервер связан с ассистентом на маркетинговой странице. Любой, кто строит архитектурную диаграмму по этим двум документам вместе, лишь догадывается.

Урок проектирования, который Redbot выносит из этого случая, — это тот, что сохраняет силу и после выпуска исправления: не допускать извлечённый контент в путь авторизации. Его рекомендации состоят в том, чтобы создание, замена и удаление ранбуков требовали аутентификации, одобрения и атрибуции; чтобы извлечённые ранбуки никогда не могли самостоятельно разрешать платежи, расширять область транзакций или допускать внешнюю передачу данных; и чтобы подключённые платёжные сервисы применяли собственные разрешения независимо от того, как агент интерпретирует извлечённое. Это рекомендации фирмы, занимающейся киберразведкой, а не обязательства IBM, и в бюллетене IBM ни одна из них не приводится.

Почему архив называет это средним

Запись и оценка CVSS отвечают на разные вопросы, и разрыв между ними — это честная сводка по данному случаю. Оценка IBM 7.3 находится в диапазоне HIGH для уязвимости, которая элементарно достижима. В архиве эта запись значится как уязвимость, а не инцидент: степень серьезности — medium, реальный ущерб — false, уверенность — A, флаг спора отсутствует; дата — 23 сентября 2026 года с точностью до дня, регион указан как global. Эти поля описывают произошедшее, а произошедшего не было — ровным счетом ничего.

Это сочетание и есть суть записи. Платёжный агент, читавший из хранилища, в которое мог писать кто угодно, — серьёзная инженерная работа, и это было исправлено в обновлении версии до того, как стало известно, что кто-либо этим воспользовался. Обе половины верны, и запись разделяет их, не позволяя только оценке или молчанию говорить за себя.